Pwnc 4.2 — Rheoli Hunaniaeth a Mynediad

Ym maes iechyd a gofal, nid tasg cadw tŷ TG yw rheoli pwy all weld a gwneud beth â chofnod claf ond penderfynydd rheng flaen o ran diogelwch clinigol, cyfrinachedd ac ymddiriedaeth y cyhoedd.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Mae pob penderfyniad clinigol yn seiliedig ar y dybiaeth mai'r cofnod o flaen y clinigydd yw'r cofnod cywir, ei fod yn perthyn i'r claf cywir, ac iddo gael ei gyrraedd gan y person cywir. Rheoli hunaniaeth a mynediad (IAM) yw'r peirianwaith sy'n gwneud y tair tybiaeth hynny'n wir. Pan fydd yn gweithio, mae parafeddyg yn gweld alergedd mewn pryd, mae nodyn diogelu yn cyrraedd dim ond y rhai sydd ei angen, a gall llwybr archwilio ateb y cwestiwn "pwy edrychodd ar y cofnod hwn a pham?". Pan fydd yn methu, mae cleifion yn cael eu niweidio gan gofnodion a agorwyd dan yr enw anghywir, mae staff yn busnesa ar berthnasau neu enwogion, ac mae hyder yn y fenter ddigidol gyfan yn erydu.

Mae iechyd a gofal yn codi'r polion uwchlaw'r achos corfforaethol arferol mewn tair ffordd. Yn gyntaf, y data yw rhai o'r rhai mwyaf sensitif y bydd person byth yn eu cynhyrchu — iechyd meddwl, iechyd rhywiol, defnyddio sylweddau, hunaniaeth rhywedd, pryderon diogelu — felly nid anghyfleustra yw toriad cyfrinachedd ond niwed parhaol. Yn ail, mae'r gweithlu'n symudol, yn gylchdroadol ac yn aml-sefydliadol: mae meddygon iau yn cylchdroi bob ychydig fisoedd, mae staff asiantaeth a locwm yn cyrraedd am un sifft, ac mae gofal integredig yn golygu y gall nyrs ardal fod angen cofnod ysbyty yn gyfreithlon. Yn drydydd, nid yw'r ddyletswydd gofal yn maddau ffrithiant: mae rheolaeth mynediad sy'n rhy araf am 3 y bore wrth ddadebru yn berygl diogelwch ynddi'i hun. Felly mae IAM yn y sector hwn yn drafodaeth gyson rhwng cloi data i lawr a gadael y person cywir i mewn yn gyflym.

Mae'r pwnc hwn yn ymdrin â dyfnder rheoli mynediad sy'n eistedd o dan y dyletswyddau ehangach a drafodir ym Mhwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch. Lle mae'r pwnc hwnnw'n gosod y fframwaith cyfreithiol a sefydliadol — Rheoliad Cyffredinol Diogelu Data y DU, y Pecyn Cymorth Diogelwch a Diogelu Data, y ddyletswydd cyfrinachedd — mae hwn yn ymwneud â mecaneg goncrid profi hunaniaeth a rhoi'r mynediad lleiaf sydd ei angen i wneud y gwaith.

Cysyniadau craidd#

Rheoli hunaniaeth a mynediad yw'r ddisgyblaeth a'r set o dechnolegau sy'n sicrhau bod gan yr unigolion cywir y mynediad cywir at yr adnoddau cywir ar yr adeg gywir, a bod modd profi hyn wedyn. Mae'n seiliedig ar wahaniaeth sy'n hawdd ei niwlio ac yn beryglus ei golli: y gwahaniaeth rhwng dilysu ac awdurdodi.

Mae dilysu yn ateb "ai chi yw'r person rydych yn honni ei fod?". Fe'i profir â ffactorau: rhywbeth rydych yn ei wybod (cyfrinair neu PIN), rhywbeth sydd gennych (cerdyn clyfar, ffôn, tocyn caledwedd), a rhywbeth ydych chi (olion bysedd neu wyneb). Mae awdurdodi yn ateb cwestiwn gwahanol — "nawr ein bod yn gwybod pwy ydych, beth a ganiateir i chi ei weld a'i wneud?". Gall ymgynghorydd a derbynnydd ill dau ddilysu'n berffaith dda, ond fe'u hawdurdodir i rannau gwahanol iawn o gofnod. Mae drysu'r ddau yn arwain at systemau sy'n gwirio hunaniaeth yn gryf ac yna'n gadael i bawb weld popeth.

Mae awdurdodi ym maes iechyd a gofal fel arfer wedi'i drefnu fel rheoli mynediad ar sail rôl (RBAC), lle mae caniatadau'n glynu wrth rolau — "nyrs adran achosion brys", "meddyg teulu", "ysgrifennydd meddygol" — ac mae pobl yn etifeddu caniatadau drwy ddal rôl, yn hytrach na chael hawliau fesul un. Llywodraethir RBAC gan yr egwyddor braint leiaf: dylai pob person, a phob cyfrif system, ddal y mynediad lleiaf sydd ei angen i wneud y gwaith a dim mwy. Mae braint leiaf yn cyfyngu ar wall damweiniol a radiws ffrwydrad cyfrif a beryglwyd.

Mae dilysu modern yn cryfhau'r cam "profwch pwy ydych" â dilysu aml-ffactor (MFA), gan gyfuno dau ffactor neu fwy fel nad yw cyfrinair wedi'i ddwyn yn ddigon ar ei ben ei hun. Mae'n lleihau ffrithiant â mewngofnodi sengl (SSO), lle mae un sesiwn ddilys yn rhoi mynediad i lawer o gymwysiadau heb fewngofnodi dro ar ôl tro — budd diogelwch gwirioneddol pan fo'n rhaid i glinigydd symud rhwng dwsin o systemau mewn awr. Mae SSO ar draws ffiniau sefydliadol yn dibynnu ar hunaniaeth ffederal: mae un sefydliad yn gwarantu defnyddiwr fel y gall un arall ymddiried ynddo heb ddal ei fanylion mewngofnodi.

Mae system blymio ffederasiwn a dilysu modern wedi'i hadeiladu ar safonau agored. Mae OAuth yn safon ar gyfer awdurdodi dirprwyedig — gadael i gymhwysiad weithredu ar eich rhan heb drosglwyddo eich cyfrinair. Mae OpenID Connect yn haenu dilysu ar ben OAuth fel y gall cymhwysiad ddysgu pwy yw'r defnyddiwr, ac mae'r Security Assertion Markup Language (SAML) hŷn, sy'n seiliedig ar XML, yn gwneud swydd debyg ar gyfer SSO menter. Caiff cylch bywyd hunaniaeth — rhoi, newid a dirymu mynediad wrth i bobl ymuno, symud a gadael — ei drin gan brosesau darparu, a elwir yn gyffredin yn ymuno/symud/gadael neu JML.

Y cyfeiriad strategol yw pensaernïaeth ymddiriedaeth sero: y dybiaeth nad oes unrhyw ddefnyddiwr na dyfais yn ddibynadwy dim ond oherwydd ei fod yn eistedd y tu mewn i'r rhwydwaith. Caiff pob cais ei ddilysu, ei awdurdodi a'i wirio yn erbyn cyd-destun — iechyd y ddyfais, lleoliad, sensitifrwydd y data — yn hytrach na dibynnu ar berimedr caled. Mewn sector lle mae staff yn gweithio o glinigau, cartrefi, ambiwlansys a safleoedd partner, mae'r perimedr wedi diflannu i bob pwrpas, ac mae ymddiriedaeth sero yn enwi'r ymateb gonest i hynny.

Arferion gorau#

1. Trinwch ddilysu ac awdurdodi fel penderfyniadau dylunio ar wahân. Penderfynwch yn gyntaf pa mor gryf y mae'n rhaid i chi brofi hunaniaeth ar gyfer system benodol, ac ar wahân pa mor fanwl y mae'n rhaid i chi reoli'r hyn y gall pob rôl ei wneud wedyn. Mae mewngofnodi cryf ar system sy'n rhoi mynediad llawn i bawb yn gysur ffug, ac mae caniatadau manwl y tu ôl i gyfrinair gwan yr un mor wag. Dogfennwch y ddau benderfyniad yn benodol ar gyfer pob system glinigol, a'u hailystyried pan fydd sensitifrwydd y data neu boblogaeth y defnyddwyr yn newid.

2. Gwnewch i reoli mynediad ar sail rôl adlewyrchu rolau clinigol go iawn, yna ei gadw'n lân. Dyluniwch rolau o amgylch sut mae gofal yn cael ei ddarparu mewn gwirionedd — nid o amgylch y siart sefydliadol na mympwyon ffurfweddiad rhagosodedig cyflenwr — a mapiwch bob rôl i'r cofnodion a'r swyddogaethau lleiaf sydd eu hangen arni. Dros amser mae RBAC yn dirywio i "ffrwydrad rolau", lle mae cannoedd o rolau sy'n gorgyffwrdd yn cronni ac ni all neb ddweud beth mae unrhyw un ohonynt yn ei roi. Trefnwch resymoli rolau cyfnodol, a gwrthsefwch y demtasiwn i ddatrys pob cais mynediad drwy fathu rôl bwrpasol newydd.

3. Cymhwyswch fraint leiaf i bobl ac i gyfrifon peiriant fel ei gilydd. Caiff braint leiaf ei chymhwyso'n rheolaidd i glinigwyr ac yna ei hanghofio ar gyfer y cyfrifon gwasanaeth, peiriannau integreiddio ac offer adrodd sy'n aml yn dal y mynediad ehangaf oll. Anaml y mae angen mynediad ysgrifennu neu destun rhydd adnabyddadwy ar ryngwyneb awtomataidd sy'n tynnu data ar gyfer dangosfwrdd, ac eto mae'n aml yn ei gael. Rhestrwch hunaniaethau annynol, cyfyngwch eu cwmpas, a chylchdroi eu manylion mewngofnodi ar amserlen.

4. Mynnwch ddilysu aml-ffactor ar gyfer mynediad o bell a breintiedig, a dewiswch ffactorau sy'n gweddu i'r lleoliad. Nid yw cyfrineiriau'n unig yn amddiffynadwy mwyach ar gyfer unrhyw beth sy'n cyrraedd data cleifion o'r tu allan i ddyfais ddibynadwy, ac mae MFA bellach yn ddisgwyliad sylfaenol ar draws systemau'r GIG. Dewiswch ffactorau sy'n goroesi'r amgylchedd clinigol: tocynnau caledwedd neu ddilyswyr platfform sy'n gwrthsefyll gwe-rwydo ar gyfer mynediad breintiedig ac o bell, a byddwch yn ofalus o godau SMS ar wardiau lle mae signal yn wael a ffonau'n cael eu rhannu. Cydbwyswch y budd diogelwch yn erbyn y realiti na all clinigydd ynghanol dadebru ymbalfalu am ail ffactor.

5. Defnyddiwch fewngofnodi sengl i ddileu ffrithiant sy'n gwthio staff tuag at ddatrysiadau dros dro anniogel. Pan fo'n rhaid i staff fewngofnodi ar wahân i ddeg system, maent yn ysgrifennu cyfrineiriau ar nodiadau gludiog, yn rhannu cardiau clyfar, ac yn gadael sesiynau ar agor — pob un yn risg diogelwch a chyfrinachedd. Mae SSO a weithredir yn dda, wedi'i gyfuno'n ddelfrydol â bathodynnau agosrwydd "tapio i mewn, tapio allan" ar weithfannau clinigol a rennir, yn gwella diogelwch ac yn rhoi amser yn ôl i glinigwyr. Trinwch SSO fel ymyriad diogelwch cleifion, nid dim ond cyfleustra, a mesurwch yr amser mewngofnodi rydych yn ei ddileu.

6. Moderneiddiwch hunaniaeth y GIG y tu hwnt i'r cerdyn clyfar, heb dorri'r hyn sy'n gweithio. Mae Gwasanaeth Hunaniaeth Gofal y GIG (a elwid gynt yn Wasanaeth Hunaniaeth Gofal ac, cyn hynny, y drefn Awdurdod Cofrestru a adeiladwyd ar gardiau clyfar) yn dilysu staff y GIG ac yn gyrru mynediad i systemau cenedlaethol fel yr Asgwrn Cefn. Mae'r cyfeiriad cenedlaethol bellach tuag at ddilysu modern, seiliedig ar safonau — CIS2 ag MFA ac OpenID Connect — gan leihau dibyniaeth ar gardiau clyfar corfforol a darllenwyr cardiau sy'n methu, yn cael eu rhannu, neu'n rhwystro gofal. Cynlluniwch eich ymfudiad yn fwriadol: cadwch drylwyredd sicrwydd a chofrestru'r model cerdyn clyfar wrth fabwysiadu hyblygrwydd tocynnau modern.

7. Rhedwch ymuno/symud/gadael fel proses reoledig, archwiliadwy — yn enwedig gadael. Y methiant IAM difrifol mwyaf cyffredin ym maes iechyd a gofal yw'r cyfrif sy'n goroesi angen y person amdano: y meddyg iau a gylchdroodd, y nyrs asiantaeth a adawodd, y contractwr na ddirymwyd ei fynediad erioed. Awtomeiddiwch ddarparu o ffynhonnell awdurdodol (y cofnod staff electronig fel arfer) fel bod dechrau, newid a therfynu rôl yn sbarduno'r newid mynediad cyfatebol o fewn ffenestr ddiffiniedig, fer. Trinwch ddirymu ar yr un diwrnod ar gyfer y rhai sy'n gadael ac ar gyfer staff sy'n destun ymchwiliad fel gofyniad caled, nid dyhead.

8. Ail-ardystiwch fynediad yn rheolaidd a gwnewch reolwyr yn atebol amdano. Mae mynediad a oedd yn briodol ar y diwrnod cyntaf yn drifftio wrth i bobl newid timau a chronni hawliau nad oes eu hangen arnynt mwyach — "ymlusgiad braint". Cynhaliwch adolygiadau mynediad cyfnodol (ail-ardystio) lle mae'r rheolwr cyfrifol neu berchennog y system yn cadarnhau'n weithredol fod angen pob hawl ar bob person o hyd, gyda distawrwydd yn rhagosod i dynnu yn hytrach na chadw. Gwnewch yr adolygiad yn ystyrlon drwy ei gyflwyno mewn iaith rôl glinigol blaen, nid codau caniatâd crai na all unrhyw reolwr eu dehongli.

9. Llywodraethwch fynediad breintiedig fel categori ar ei ben ei hun. Gall gweinyddwyr, perchnogion cronfeydd data a pheirianwyr seilwaith ddarllen neu newid unrhyw gofnod ac analluogi'r union reolaethau sy'n ei amddiffyn, felly mae angen triniaeth gryfach ar eu mynediad na defnyddwyr cyffredin. Gweithredwch reoli mynediad breintiedig: gwahanwch hunaniaethau gweinyddol oddi wrth gyfrifon bob dydd, rhowch hawliau uwch yn union mewn pryd ac o fewn amser yn hytrach na sefydlog, a chofnodwch sesiynau breintiedig i'w hadolygu'n annibynnol. Peidiwch byth â gadael i gyflenwr neu gyfrif "torri gwydr" ddod yn brif allwedd barhaol, heb ei monitro.

10. Gwnewch bob penderfyniad mynediad yn archwiliadwy, a darllenwch yr archwiliad mewn gwirionedd. Dim ond hanner rheolaeth yw rheoli mynediad na ellir ei adolygu wedyn; mae'r gallu i ateb "pwy gafodd fynediad i'r cofnod hwn, pryd, ac ar ba sail?" yn sail i ymchwiliadau cyfrinachedd a diogelwch cleifion. Ffurfweddwch logio archwilio cynhwysfawr, amlwg os ymyrrir ag ef, a — yn hollbwysig — adnoddwch archwilio rhagweithiol, gan gynnwys rhybuddion ar gyfer chwilio amdanoch eich hun, chwilio am gydweithwyr neu VIPs, a chyfeintiau mynediad anarferol. Nid yw llwybr archwilio nad oes neb yn ei archwilio yn atal neb.

11. Dyluniwch fynediad torri gwydr fel bod argyfyngau'n cael eu gwasanaethu a chamdriniaeth yn cael ei dal. Weithiau mae angen cofnod ar glinigwyr yn gyfreithlon nad oes ganddynt awdurdod i'w weld fel mater o drefn — claf anymwybodol, argyfwng traws-sefydliadol. Darparwch lwybr "torri gwydr" penodol sy'n rhoi mynediad brys gyda rheswm gofynnol, fflagio ar unwaith, ac adolygiad gorfodol ar ôl y ffaith, yn hytrach na gorfodi staff i ddewis rhwng y rheolau a'r claf. Y nod yw gwneud y weithred frys ddiogel yn hawdd a'r un ddi-gyfiawnhad yn weladwy.

12. Mabwysiadwch ymddiriedaeth sero fel cyfeiriad, a'i threfnu'n bragmatig. Symudwch o "rhwydwaith dibynadwy, agored y tu mewn" tuag at wirio pob cais yn erbyn hunaniaeth, iechyd dyfais a chyd-destun, fel nad yw gliniadur a beryglwyd ar y LAN gorfforaethol yn cael ei ymddiried ynddo'n awtomatig mwyach. Taith aml-flwyddyn yw hon drwy hunaniaeth gref, cydymffurfiaeth dyfeisiau, mynediad amodol a micro-segmentu — nid cynnyrch y gallwch ei brynu. Trefnwch hi y tu ôl i'r hanfodion (MFA, braint leiaf, JML glân), a'i halinio â'r gwaith ar y stad ym Mhwnc 4.0 — Pensaernïaeth Dechnegol, y Cwmwl a Systemau Etifeddol.

Cwestiynau i'w trafod gyda'ch tîm#

1. Ble rydym yn cyfnewid ffrithiant mynediad yn erbyn diogelwch clinigol yn fwriadol, a phwy a benderfynodd ar y cydbwysedd? Mae pob mewngofnodi ychwanegol, ail ffactor neu gam awdurdodi yn diogelu cyfrinachedd ond yn costio eiliadau sydd, mewn argyfwng, yn risg diogelwch ynddynt eu hunain. Mae'r cwestiwn hwn yn gorfodi'r tîm i enwi'r mannau penodol lle gallai rheolaethau diogelwch oedi gofal — y mewngofnodi dadebru, y gweithfan ward a rennir, y system y tu allan i oriau — a gofyn a ddewiswyd y cydbwysedd presennol gan bobl sy'n deall y canlyniadau clinigol a diogelwch, neu a ragosodwyd i leoliad cyflenwr. Trafodwch y tensiwn yn onest: mae rheolaeth sy'n rhy dynn yn gyrru cyfrineiriau nodiadau gludiog a chardiau clyfar a rennir sy'n waeth na'r risg y maent yn mynd i'r afael â hi, tra bod un sy'n rhy llac yn gwahodd busnesa a thoriadau. Chwiliwch am arwyddion concrid o gydbwysedd gwael — staff yn rhannu manylion mewngofnodi, sesiynau'n cael eu gadael ar agor, torri gwydr yn cael ei ddefnyddio'n rheolaidd. Mae ateb da yn nodi pwy sy'n berchen ar bob cyfnewidiad, yn dangos bod clinigwyr yn yr ystafell pan gafodd ei osod, ac yn pwyntio at amseroedd mewngofnodi a chyfraddau datrysiadau dros dro wedi'u mesur yn hytrach na thybiaethau. Mae hefyd yn ymrwymo i ailystyried y cydbwysedd wrth i rolau, systemau a bygythiadau newid.

2. Pa mor hyderus ydym fod person sy'n gadael neu'n symud yn colli'r mynediad cywir, yn yr amserlen gywir, bob tro? Y cyfrif sy'n goroesi ei angen yw'r methiant IAM clasurol, ac mewn gweithlu iechyd a gofal cylchdroadol, aml-sefydliadol mae'r risg yn ddifrifol. Mae'r cwestiwn hwn yn holi a yw ymuno/symud/gadael yn broses ddibynadwy, awtomataidd a yrrir o ffynhonnell awdurdodol, neu'n set o negeseuon e-bost â llaw sy'n methu'n dawel pan fydd rhywun yn brysur. Trafodwch yr achosion caled: y meddyg iau sy'n cylchdroi rhwng ymddiriedolaethau, y nyrs asiantaeth ar un sifft, y contractwr, aelod o staff wedi'i atal dros dro yn aros am ymchwiliad. Ystyriwch beth mae "yr amserlen gywir" yn ei olygu i bob un — mae dirymu ar yr un diwrnod yn anhrafodadwy ar gyfer ataliad ond gall fod yn feddalach ar gyfer symud mewnol arferol. Gall ateb da bwyntio at dystiolaeth, nid bwriad: canlyniadau archwiliad gadael diwethaf, nifer y cyfrifon segur a ganfuwyd ac a gaewyd, yr amser rhwng i rywun adael a therfynu eu mynediad. Mae'n onest am y bylchau ac yn enwi pwy sy'n atebol am eu cau.

3. Pan fydd rhywbeth yn mynd o'i le gyda chofnod, a allwn ni mewn gwirionedd ail-greu pwy wnaeth beth — ac a fyddem yn sylwi ar gamddefnydd heb i ddigwyddiad ein hysgogi? Archwilio yw'r rheolaeth sy'n gwneud cyfrinachedd a diogelwch yn orfodadwy ar ôl y ffaith, ond dim ond os yw'r logiau'n gyflawn, yn warchodedig ac yn cael eu hadolygu'n wirioneddol y mae'n gweithio. Mae'r cwestiwn hwn yn gwahanu dau beth y mae tîm yn aml yn eu cyfuno: y gallu i ymchwilio'n adweithiol pan fydd cwyn yn cyrraedd, a'r gallu i ganfod camddefnydd yn rhagweithiol cyn i neb gwyno. Archwiliwch beth mae eich logiau'n ei ddal mewn gwirionedd, a ellir eu newid, am ba hyd y cânt eu cadw, a — y cwestiwn anoddach — pwy sy'n edrych arnynt pan nad oes digwyddiad. Ystyriwch y bygythiadau realistig: aelod o staff yn chwilio am aelod o'r teulu, cydweithiwr neu ffigur cyhoeddus; cyfrif a beryglwyd yn ecsfiltradu cofnodion ar raddfa. Mae ateb da yn dangos bod archwilio wedi'i adnoddi fel swyddogaeth weithredol â rhybuddio, nid archif segur, a gall ddyfynnu enghraifft go iawn o gamddefnydd a ganfu'r sefydliad ac y gweithredodd arno. Mae hefyd yn cysylltu archwilio â thegwch, gan sicrhau nad yw adolygiadau'n targedu grwpiau staff penodol yn anghymesur.

4. Pan fydd angen cofnod ar glinigydd yn gyfreithlon nad oes ganddo awdurdod i'w weld fel mater o drefn, a yw ein llwybr torri gwydr yn gwneud y weithred ddiogel yn hawdd a'r un ddi-gyfiawnhad yn weladwy? Mae iechyd a gofal yn wahanol i TG gorfforaethol arferol yn union oherwydd bod yn rhaid i'r rheolau ildio weithiau i'r claf o'ch blaen — dyfodiad anymwybodol, argyfwng traws-sefydliadol, clinigydd y tu allan i oriau yn cwmpasu llwyth achosion anghyfarwydd. Mae'r cwestiwn hwn yn gofyn a yw mynediad brys wedi'i ddylunio fel llwybr penodol, rhesymedig, wedi'i fflagio, neu a yw staff yn cael eu gorfodi'n dawel i ddewis rhwng y polisi mynediad a lles y claf. Archwiliwch y dulliau methu ar y ddau ben: llwybr torri gwydr mor feichus nes bod clinigwyr yn ei osgoi ac yn rhannu manylion mewngofnodi yn lle hynny, neu un mor ddiffrithiant a heb ei adolygu nes ei fod yn dod yn ffordd arferol i mewn ac yn gwagio RBAC yn llwyr. Trafodwch pwy sy'n adolygu digwyddiadau torri gwydr, pa mor gyflym, a pha gyfran sy'n troi allan i fod yn ddi-gyfiawnhad — gall cyfradd agos at sero olygu nad yw'r rheolaeth yn cael ei defnyddio yn hytrach nag ei bod yn lân. Gall ateb da ddisgrifio'r union gamau y mae clinigydd yn eu cymryd, y cipio rheswm, y fflag ar unwaith i sefydliad cartref y cofnod, a'r adolygiad ar ôl y ffaith sy'n cau'r ddolen, a gall ddangos bod argyfyngau'n cael eu gwasanaethu'n wirioneddol a chamdriniaeth yn cael ei dal yn wirioneddol. Mae'n onest ynghylch a yw cyfeintiau torri gwydr yn tueddu i gyfeiriad sy'n awgrymu bwlch awdurdodi dyfnach.

5. A ydym yn llywodraethu mynediad breintiedig ac annynol mor dynn ag yr ydym yn llywodraethu clinigwyr — neu ai yno y mae'r gwir amlygiad? Caiff y rheolaethau sy'n amddiffyn data cleifion eu gweinyddu eu hunain gan rywun, a gall gweinyddwyr, perchnogion cronfeydd data, peiriannau integreiddio a chyfrifon adrodd yn aml ddarllen neu newid unrhyw gofnod a diffodd yr union ddiogelwch sy'n cyfyngu ar bawb arall. Mae'r cwestiwn hwn yn llusgo i'r golau'r mynediad y mae disgyblaeth braint leiaf yn fwyaf tebygol o'i hepgor: cyfrifon gweinyddol sefydlog, mewngofnodi cymorth o bell cyflenwyr, cyfrifon gwasanaeth â hawliau modd-duw, a'r rhyngwyneb awtomataidd yn tynnu testun rhydd adnabyddadwy yn dawel na fu ei angen erioed. Trafodwch a yw hunaniaethau gweinyddol wedi'u gwahanu oddi wrth gyfrifon bob dydd, a yw dyrchafiad yn union mewn pryd ac o fewn amser neu'n barhaol, ac a yw sesiynau breintiedig yn cael eu cofnodi a'u hadolygu'n annibynnol. Ystyriwch y stad annynol yn benodol — pwy sy'n berchen ar bob cyfrif gwasanaeth, pryd y cylchdroiwyd ei fanylion mewngofnodi ddiwethaf, ac a allai unrhyw un eu rhestru heddiw. Mae ateb da yn trin mynediad breintiedig fel categori ar ei ben ei hun â pherchnogion a enwir, tystiolaeth o ddyrchafiad union mewn pryd, a rhestr go iawn o hunaniaethau peiriant, yn hytrach na thybiaeth bod yn rhaid i'r hanfodion a gymhwyswyd i glinigwyr gwmpasu'r swyddfa gefn hefyd. Mae'n onest am gyflenwyr, ac am unrhyw gyfrif sydd wedi dod yn brif allwedd barhaol, heb ei monitro.

6. Faint o'n hunaniaeth sy'n dibynnu ar bartïon y tu allan i'n rheolaeth, ac a ydym yn fwriadol am y ddibyniaeth honno? Mae hunaniaeth iechyd a gofal modern yn ffederal drwy ddyluniad — mae cofnod a rennir yn ymddiried mewn honiadau gan bob sefydliad partner, mae gwasanaethau cenedlaethol fel Gwasanaeth Hunaniaeth Gofal y GIG a CIS2 yn gwarantu staff, ac mae NHS login yn gwarantu dinasyddion — sy'n golygu bod cryfder eich rheolaeth mynediad ond cystal â'r darparwyr hunaniaeth rydych yn dibynnu arnynt a'r safonau sy'n eich rhwymo ynghyd. Mae'r cwestiwn hwn yn gofyn i'r tîm fapio ble mae ymddiriedaeth wedi'i dirprwyo: pa sefydliadau sy'n dilysu pa ddefnyddwyr, beth sy'n digwydd pan fydd proses ymuno/symud/gadael partner yn methu, a sut mae mewngofnodi ffederal yn cael ei ddirymu pan fydd aelod o staff cyflogwr arall yn gadael. Pwyswch yr ymfudiad sydd ar waith o gardiau clyfar tuag at ddilysu seiliedig ar safonau (CIS2 ag MFA ac OpenID Connect), a'r tensiwn rhwng mabwysiadu cyfeiriad cenedlaethol a chadw llifoedd gwaith lleol yn gweithio am 3 y bore. Ystyriwch yr ongl gwydnwch hefyd: os nad yw gwasanaeth hunaniaeth cenedlaethol ar gael, a all clinigwyr gyrraedd y cofnodion sydd eu hangen arnynt yn ddiogel o hyd, neu a yw ffederasiwn yn dod yn bwynt methiant unigol. Mae ateb da yn dangos bod y tîm yn gwybod yn union pa sicrwydd pwy y mae'n dibynnu arno, wedi cytuno sut mae dirymu a digwyddiadau traws-sefydliadol yn cael eu trin, ac yn trefnu ei symud i ddilysu modern y GIG yn fwriadol yn hytrach na chael ei gario ganddo. Mae'n realistig am y rhannau o'r stad na allant ffederasiynu eto a sut y cânt eu pontio yn y cyfamser.

Yn ymarferol: enghraifft iechyd a gofal#

Mae System Gofal Integredig Meadowvale yn cyflwyno cofnod gofal a rennir fel y gall staff ysbytai, cymunedol, iechyd meddwl, meddygon teulu a gofal cymdeithasol oedolion weld golwg unedig o bob person. Yn gynnar yn y cyfnod darganfod mae'r rhaglen yn sylweddoli nad adeiladu'r cofnod yw ei gwir risg ond rheoli mynediad iddo: mae un olwg sy'n rhychwantu pum sefydliad yn lluosi budd diogelwch y clinigydd cywir yn gweld yr wybodaeth gywir a niwed y person anghywir yn gweld rhywbeth sensitif.

Mae'r tîm yn gwneud rheoli mynediad yn ffrwd ddylunio o'r radd flaenaf. Maent yn cytuno ar fodel rolau wedi'i fynegi mewn iaith glinigol — "nyrs gymunedol", "gweithiwr iechyd meddwl proffesiynol cymeradwy", "rheolwr cartref gofal" — ac yn mapio pob rôl i'r data lleiaf sydd ei angen arni, gyda chofnodion iechyd meddwl ac iechyd rhywiol yn destun mynediad tynnach, wedi'i awdurdodi ar wahân. Mae dilysu'n ffederal: mae pob sefydliad partner yn dilysu ei staff ei hun drwy Wasanaeth Hunaniaeth Gofal y GIG neu ei ddarparwr hunaniaeth lleol gan ddefnyddio OpenID Connect, ac mae'r cofnod a rennir yn ymddiried yn yr honiadau hynny yn hytrach na chyhoeddi ei fanylion mewngofnodi ei hun, felly nid oes cyfrinair newydd i'w reoli ac mae ymuno/symud/gadael yn aros gyda'r sefydliad cyflogi lle mae'r cofnod staff awdurdodol.

Oherwydd y bydd parafeddyg neu glinigydd y tu allan i oriau weithiau angen cofnod nad oes ganddynt awdurdod i'w weld fel mater o drefn, mae'r tîm yn adeiladu llwybr torri gwydr penodol: rhoddir mynediad brys wrth nodi rheswm, caiff ei fflagio ar unwaith i sefydliad cartref y cofnod, a'i adolygu o fewn 48 awr. Maent yn sefydlu swyddogaeth llywodraethiant gwybodaeth ac archwilio ar y cyd fach sy'n adolygu digwyddiadau torri gwydr, yn rhedeg rhybuddion ar gyfer chwilio amdanoch eich hun a chwilio am unigolion a fflagiwyd, ac yn adrodd bob chwarter i fwrdd yr ICS.

Chwe mis ar ôl mynd yn fyw, mae rhybudd yn fflagio cydgysylltydd gofal yn agor cofnod rhywun dro ar ôl tro heb unrhyw gysylltiad gweithredol â'u llwyth achosion. Mae'r swyddogaeth archwilio'n ymchwilio, yn canfod bod y mynediad yn bersonol yn hytrach na phroffesiynol, ac mae'r sefydliad cyflogi'n cymryd camau disgyblu. Ni ddigwyddodd unrhyw ddigwyddiad diogelwch cleifion, daliwyd y toriad yn rhagweithiol, ac — oherwydd bod y rheolaethau wedi gweithio'n amlwg — daliodd hyder y cyhoedd yn y cofnod a rennir. Noda'r bwrdd fod yr un gallu archwilio bellach hefyd yn dyblu fel tystiolaeth ar gyfer ei gyflwyniad Pecyn Cymorth Diogelwch a Diogelu Data (gweler Pwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch).

Golwg drwy wahanol sectorau#

Busnes newydd#

Mae gan gwmni iechyd digidol bach sy'n adeiladu, dyweder, ap monitro o bell y fantais o fod heb etifeddiaeth: gall fabwysiadu dilysu modern, MFA a ffederasiwn seiliedig ar safonau o'r diwrnod cyntaf, ac integreiddio â NHS login ar gyfer dinasyddion a CIS2 ar gyfer clinigwyr yn hytrach na dyfeisio ei system hunaniaeth ei hun. Y perygl yw cyflymder yn rhedeg ymlaen o ddisgyblaeth — manylion mewngofnodi gweinyddol caled-godedig, cyfrif uwch-ddefnyddiwr "sylfaenydd" a rennir, cyfrifon gwasanaeth â mynediad modd-duw, a dim proses gadael oherwydd bod "pawb yn adnabod pawb". Mae braint leiaf ac archwilio'n teimlo fel gorbenion gyda deg o bobl ond maent yn dod yn ddyled dechnegol anadferadwy gyda chant. Y symudiad pragmatig yw prynu hunaniaeth fel gwasanaeth a reolir, gorfodi MFA ac RBAC o'r ymrwymiad cyntaf, a thrin gofynion DTAC (Meini Prawf Asesu Technoleg Ddigidol) fel y bar lleiaf ar gyfer unrhyw ddefnydd yn y GIG.

Busnes bach#

Mae darparwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, asiantaeth gofal cartref, clinig un safle, neu gyflenwr technoleg iechyd bach sydd wedi pasio'r cam cyn-refeniw — yn cario'r un dyletswyddau cyfrinachedd a rheoli mynediad ag ymddiriedolaeth fawr ond â chleifion go iawn ar y llyfrau, llond llaw o staff, a fawr ddim gallu TG pwrpasol, os o gwbl, i'w bodloni. Nid yw'r risg ymarferol yma'n egsotig: dyma'r mewngofnodi a rennir wrth y ddesg flaen, cyfrinair y system glinigol wedi'i dapio i fonitor, y locwm a roddwyd cerdyn clyfar cydweithiwr oherwydd bod cofrestru un newydd yn cymryd gormod o amser, a'r person sy'n gadael na chaiff ei gyfrif ei analluogi byth oherwydd nad oes neb yn berchen ar y swydd honno. Y llwybr pragmatig yw pwyso ar y nodweddion hunaniaeth sydd eisoes wedi'u hadeiladu i mewn i'r systemau y maent yn eu prynu — gorfodi MFA a chyfrifon fesul person, troi logio archwilio'r cyflenwr ymlaen, a defnyddio NHS CIS2 ac NHS login yn hytrach na manylion mewngofnodi cartref — ac ysgrifennu trefn ymuno/symud/gadael syml sy'n enwi un person atebol, hyd yn oed os mai rheolwr y practis sy'n ei wneud â llaw yw'r person hwnnw. Mae braint leiaf a dirymu ar yr un diwrnod ar gyfer y rhai sy'n gadael yr un mor bwysig gyda deg staff ag â deng mil; y gwahaniaeth yw bod yn rhaid eu cyflawni yma drwy broses a ffurfweddiad yn hytrach na thîm hunaniaeth pwrpasol.

Menter fawr#

Mae ymddiriedolaeth fawr y GIG neu ICS yn rhedeg dwsinau o systemau clinigol o oedrannau gwahanol iawn, pob un â'i fodel hunaniaeth ei hun, a'i her ganolog yw integreiddio a chylch bywyd ar raddfa. Mae cardiau clyfar, SSO, llifoedd gwaith "tapio i mewn, tapio allan", a phiblinell JML ddibynadwy o'r cofnod staff electronig i gyd yn bwysicach yma nag unrhyw un rheolaeth glyfar, oherwydd bod y dulliau methu'n fethiannau cyfaint: miloedd o gyfrifon segur, ffrwydrad rolau, a logiau archwilio nad oes gan neb y capasiti i'w hadolygu. Mae rheoli mynediad breintiedig yn hanfodol o ystyried nifer y gweinyddwyr a'r cyflenwyr sy'n cyffwrdd â'r stad. Daw cynnydd o strategaeth hunaniaeth sy'n rhesymoli rolau, yn ffederasiynu ar draws systemau, ac yn adnoddi swyddogaeth archwilio sefydlog — nid o atebion pwynt wedi'u hychwanegu ar y funud olaf at bob cymhwysiad.

Llywodraeth#

Mae corff cenedlaethol fel GIG Lloegr yn gweithredu hunaniaeth fel seilwaith a rennir ar gyfer y system gyfan: Gwasanaeth Hunaniaeth Gofal y GIG a CIS2 ar gyfer staff, NHS login ar gyfer dinasyddion, a'r safonau a'r trefnau sicrwydd sy'n gadael i gannoedd o sefydliadau ymddiried yn ei gilydd. Mae ei phenderfyniadau'n gosod y cyfeiriad teithio — y symud o gardiau clyfar i ddilysu modern, mabwysiadu OpenID Connect, y gwthio tuag at ymddiriedaeth sero — ac mae ei hatebolrwydd i'r Senedd a'r cyhoedd am ddiogelwch a mynediad teg. Y tensiwn yw rhwng safoni canolog a hyblygrwydd lleol: gorchmynnwch yn rhy anhyblyg ac rydych yn torri llifoedd gwaith lleol, gorchmynnwch yn rhy llac ac mae ffederasiwn yn cwympo i anghysondeb. Felly mae'r lens llywodraeth yn ymwneud â gosod safonau rhyngweithredol (gweler Pwnc 4.3 — Rhyngweithredu a Safonau Data), darparu gwasanaethau a rennir y gellir ymddiried ynddynt, a sicrhau cydymffurfiaeth heb ficroreoli pob ymddiriedolaeth.

Ffyrdd cyffredin o fethu#

• Cyfrifon amddifad a segur. Mae'r rhai sy'n gadael, staff a gylchdroodd, a hen gontractwyr yn cadw mynediad byw oherwydd bod JML yn dibynnu ar hysbysu â llaw. Y trwsio yw dad-ddarparu awtomataidd o ffynhonnell awdurdodol a sgubo cyfrifon segur yn rheolaidd.
• Ffrwydrad rolau ac ymlusgiad braint. Mae RBAC yn dirywio i gannoedd o rolau sy'n gorgyffwrdd ac mae unigolion yn cronni hawliau nad ydynt yn eu defnyddio mwyach. Gwrthweithiwch ag ail-ardystio cyfnodol a rhesymoli rolau wedi'i drefnu.
• Rhannu manylion mewngofnodi a gweithfannau a rennir. Mae mewngofnodi araf a chardiau clyfar trwsgl yn gyrru staff i rannu cardiau a gadael sesiynau ar agor. Ewch i'r afael â'r achos gwraidd gydag SSO, bathodynnau agosrwydd a newid cyflym yn hytrach nag annog staff i ymddwyn.
• Mynediad breintiedig sefydlog. Mae gweinyddwyr a chyflenwyr yn dal cyfrifon modd-duw parhaol a all analluogi'r rheolaethau eu hunain. Symudwch i ddyrchafiad union mewn pryd, o fewn amser, wedi'i gofnodi.
• Archwilio fel addurn. Caiff logiau eu casglu ond ni chânt eu hadolygu byth, felly dim ond yn adweithiol y canfyddir camddefnydd. Adnoddwch archwilio rhagweithiol â rhybuddio ar gyfer chwilio amdanoch eich hun a chwilio am VIPs.
• Torri gwydr fel bwlch. Mae mynediad brys yn bodoli ond heb ei fonitro, felly mae'n dod yn llwybr y gwrthiant lleiaf arferol. Mynnwch reswm, fflagiwch bob defnydd, ac adolygwch ar ôl y ffaith.
• Theatr MFA. Mae MFA wedi'i alluogi ond ar ffactorau gwan, y gellir eu gwe-rwydo, neu wedi'i hepgor ar gyfer y defnyddwyr breintiedig prysuraf. Rhowch y flaenoriaeth i ffactorau sy'n gwrthsefyll gwe-rwydo lle mae'r risg ar ei huchaf.

Model aeddfedrwydd#

Rhestr wirio#

• Penderfynwyd a dogfennwyd cryfder dilysu a chwmpas awdurdodi ar wahân ar gyfer pob system glinigol.
• MFA wedi'i orfodi ar gyfer pob mynediad o bell a breintiedig, gan ddefnyddio ffactorau sy'n briodol i'r lleoliad clinigol.
• Mewngofnodi sengl a newid gweithfan cyflym wedi'u defnyddio i ddileu ffrithiant mewngofnodi a rhannu manylion mewngofnodi.
• Model rolau wedi'i fynegi mewn iaith glinigol, wedi'i fapio i fraint leiaf, ac wedi'i resymoli ar amserlen.
• Ymuno/symud/gadael wedi'i awtomeiddio o ffynhonnell staff awdurdodol, â dirymu ar yr un diwrnod i'r rhai sy'n gadael ac ar gyfer atal.
• Ail-ardystio mynediad cyfnodol a redir gan reolwyr atebol, â rhagosod-i-dynnu ar gyfer mynediad heb ei gadarnhau.
• Mynediad breintiedig wedi'i reoli fel categori penodol: hunaniaethau ar wahân, dyrchafiad union mewn pryd, cofnodi sesiynau.
• Cyfrifon annynol ac integreiddio wedi'u rhestru, wedi'u cyfyngu i fraint leiaf, ac â manylion mewngofnodi wedi'u cylchdroi.
• Logio archwilio cynhwysfawr, amlwg os ymyrrir ag ef, yn ei le, â rhybuddio rhagweithiol ar gyfer chwilio amdanoch eich hun, am gydweithwyr ac am VIPs.
• Mynediad brys torri gwydr wedi'i ddylunio â rheswm gorfodol, fflagio ar unwaith, ac adolygu ar ôl y ffaith.
• Ymfudiad o gardiau clyfar i ddilysu modern y GIG (CIS2 / OpenID Connect) wedi'i gynllunio a'i drefnu.
• Map ffordd ymddiriedaeth sero wedi'i gytuno ac wedi'i alinio â'r strategaeth pensaernïaeth dechnegol.

Prif ffynonellau#

• NHS England — NHS Care Identity Service and Care Identity Service 2 (CIS2) guidance
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — Multi-factor authentication and identity/access management guidance
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — citizen identity verification service documentation
• DTAC — Digital Technology Assessment Criteria for health and social care
• Caldicott Principles and the common law duty of confidentiality (UK)

Cyfeiriadau#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/